La sorveglianza algoritmica in azienda: un campo di tensione tra innovazione e diritti fondamentali
Il monitoraggio intelligenza artificiale lavoro rappresenta oggi uno dei nodi più delicati del diritto del lavoro contemporaneo. Con l’accelerazione tecnologica degli ultimi anni, un numero crescente di imprese italiane ed europee ha introdotto sistemi automatizzati capaci di tracciare in tempo reale le prestazioni dei dipendenti, analizzare i comportamenti, valutare le competenze e persino anticipare le decisioni di licenziamento o promozione. Questa trasformazione pone il giurista di fronte a una tensione strutturale: da un lato, la legittima esigenza organizzativa del datore di lavoro di ottimizzare i processi produttivi; dall’altro, la tutela della dignità, della riservatezza e dei diritti fondamentali del lavoratore. Capire dove si colloca il confine tra controllo lecito e sorveglianza illecita richiede di attraversare più livelli normativi — europeo, nazionale e contrattuale — e di comprendere come la giurisprudenza stia progressivamente definendo i contorni di una disciplina ancora in formazione.
Il quadro regolatorio europeo: l’AI Act e la sua applicazione al contesto lavorativo
Il punto di partenza imprescindibile è il Regolamento UE 2024/1689, comunemente noto come AI Act, adottato il 13 giugno 2024. Si tratta del primo strumento normativo organico a livello mondiale specificamente dedicato alla regolazione dei sistemi di intelligenza artificiale, e la sua rilevanza per il diritto del lavoro è tutt’altro che marginale.
L’AI Act introduce una classificazione dei sistemi di IA basata sul livello di rischio che essi generano per i diritti fondamentali delle persone. Tra le categorie a rischio elevato — le cosiddette high-risk AI systems — figurano esplicitamente i sistemi utilizzati in ambito lavorativo per la selezione del personale, la valutazione delle prestazioni, la promozione, il monitoraggio del comportamento e la cessazione del rapporto di lavoro. Questa classificazione non è priva di conseguenze pratiche: i sistemi ad alto rischio sono soggetti a obblighi stringenti in materia di trasparenza, documentazione tecnica, supervisione umana e valutazione di conformità prima dell’immissione sul mercato o della messa in servizio.
Per il datore di lavoro che intenda introdurre un sistema di IA per monitorare i dipendenti, ciò significa anzitutto verificare se il sistema rientra nelle categorie ad alto rischio previste dall’allegato III del Regolamento. In caso affermativo, l’impresa che utilizza tale sistema nella propria organizzazione — definita dal Regolamento come “deployer” — è tenuta a rispettare obblighi specifici: garantire la supervisione umana delle decisioni automatizzate, informare i lavoratori dell’utilizzo del sistema, conservare i log di funzionamento e cooperare con le autorità di vigilanza. La violazione di questi obblighi espone l’azienda a sanzioni amministrative significative, graduate in proporzione alla gravità dell’infrazione e al fatturato globale dell’impresa.
Il diritto del lavoro italiano: dall’articolo 2087 c.c. alla legge n. 132/2025
La clausola generale di sicurezza e il suo adattamento all’era algoritmica
Sul piano del diritto interno, il riferimento normativo fondamentale è l’articolo 2087 del Codice civile, che impone al datore di lavoro di adottare tutte le misure necessarie a tutelare l’integrità fisica e la personalità morale del prestatore di lavoro. Questa clausola generale, nata in un’epoca in cui i rischi lavorativi erano prevalentemente di natura fisica, ha dimostrato nel tempo una straordinaria capacità espansiva, adattandosi a fenomeni nuovi quali lo stress da lavoro correlato, il mobbing e, più di recente, i rischi psicosociali derivanti dall’uso pervasivo di sistemi algoritmici.
Come rilevato dalla dottrina più recente, l’articolo 2087 c.c. costituisce oggi un parametro di valutazione della responsabilità datoriale anche in relazione all’introduzione e all’uso dell’intelligenza artificiale nei processi produttivi. Il datore che implementa un sistema di monitoraggio algoritmico senza valutarne adeguatamente l’impatto sulla salute psicologica dei lavoratori — ad esempio in termini di ansia da prestazione, percezione di sorveglianza costante o riduzione dell’autonomia decisionale — può incorrere in responsabilità contrattuale per inadempimento dell’obbligo di sicurezza. La novità interpretativa sta nel riconoscere che il rischio algoritmico è un rischio lavorativo a tutti gli effetti, con le conseguenze giuridiche che ne derivano in termini di valutazione, prevenzione e informazione.
La legge n. 132/2025 e le disposizioni sull’IA in materia di lavoro
Un passaggio normativo di grande rilievo è rappresentato dalla legge n. 132/2025, che agli articoli 11, 12 e 13 introduce disposizioni specificamente dedicate all’utilizzo dell’intelligenza artificiale in ambito lavorativo. Si tratta di una normativa di recente adozione che si inserisce nel solco tracciato dall’AI Act europeo, declinandone i principi nell’ordinamento italiano con particolare attenzione al contesto delle relazioni di lavoro subordinato.
Le disposizioni in questione affrontano temi quali la trasparenza algoritmica nei confronti dei lavoratori, il diritto a una spiegazione delle decisioni automatizzate che li riguardano, e l’obbligo per il datore di lavoro di informare le rappresentanze sindacali prima di introdurre sistemi di IA con impatto significativo sull’organizzazione del lavoro. Questo insieme di norme si colloca in continuità con la tradizione italiana di tutela del lavoratore, ampliandola per tener conto delle specificità tecnologiche dei sistemi automatizzati. Come osservato in dottrina, il diritto del lavoro ha dimostrato una capacità di adattamento degli strumenti di protezione esistenti ai problemi posti dall’impiego dell’IA, e la legge n. 132/2025 ne è una conferma legislativa esplicita.
👉 Leggi anche: Intelligenza artificiale e valutazione del rendimento: i vincoli normativi del Jobs Act e della trasparenza algoritmica
La protezione dei dati personali come presidio contro il monitoraggio illecito
Il GDPR e il Codice della Privacy: principi applicabili alla sorveglianza algoritmica
Il monitoraggio algoritmico dei lavoratori implica necessariamente il trattamento di dati personali, spesso in quantità e con modalità che i lavoratori stessi non riescono a percepire o comprendere appieno. Il Regolamento generale sulla protezione dei dati (GDPR, Reg. UE 2016/679) e il Codice della Privacy italiano (d.lgs. 196/2003, come modificato dal d.lgs. 101/2018) costituiscono pertanto un secondo livello normativo essenziale per valutare la liceità dei sistemi di sorveglianza in azienda.
I principi fondamentali del GDPR — liceità, correttezza e trasparenza del trattamento; limitazione della finalità; minimizzazione dei dati; esattezza; limitazione della conservazione; integrità e riservatezza — trovano applicazione diretta ai sistemi di monitoraggio intelligenza artificiale lavoro. In particolare, il principio di minimizzazione impone che i dati raccolti siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. Un sistema che raccoglie in modo indiscriminato dati sulla produttività, sui movimenti, sulle comunicazioni e persino sulle espressioni facciali dei lavoratori viola strutturalmente questo principio, indipendentemente dal consenso prestato.
Di particolare rilievo è l’articolo 22 del GDPR, che disciplina il diritto del lavoratore a non essere sottoposto a decisioni basate unicamente su un trattamento automatizzato — inclusa la profilazione — che producano effetti giuridici o che incidano in modo analogo significativamente sulla sua persona. Questa disposizione è direttamente applicabile ai sistemi di IA che, senza intervento umano, determinano promozioni, sanzioni disciplinari, assegnazione di turni o cessazione del rapporto. Il lavoratore ha il diritto di ottenere l’intervento di un essere umano nella decisione, di esprimere il proprio punto di vista e di contestare la decisione automatizzata.
La valutazione d’impatto sulla protezione dei dati (DPIA)
Quando il trattamento dei dati personali mediante sistemi algoritmici è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento è obbligato a effettuare preventivamente una Data Protection Impact Assessment (DPIA), ai sensi dell’articolo 35 del GDPR. Nel contesto lavorativo, i sistemi di monitoraggio pervasivo rientrano quasi sempre in questa categoria, sia per la natura sistematica del trattamento, sia per la particolare vulnerabilità dei lavoratori rispetto ai loro datori di lavoro.
La DPIA non è un mero adempimento formale: richiede una valutazione sostanziale dei rischi specifici del sistema, la descrizione delle misure di attenuazione adottate e, ove i rischi residui rimangano elevati, la consultazione preventiva del Garante per la protezione dei dati personali. Per il datore di lavoro, omettere la DPIA in presenza di sistemi di sorveglianza algoritmica integra una violazione autonomamente sanzionabile, oltre a costituire un indizio di illiceità complessiva del trattamento.
Il monitoraggio intelligenza artificiale lavoro tra controllo lecito e sorveglianza illecita
I criteri di liceità del controllo datoriale
Nell’ordinamento italiano, il controllo a distanza dei lavoratori è disciplinato dall’articolo 4 della legge n. 300/1970 (Statuto dei Lavoratori), come modificato dal d.lgs. 151/2015. La norma distingue tra strumenti di controllo diretto — vietati — e strumenti di lavoro o di sicurezza che possono generare indirettamente dati sui lavoratori — ammessi, a condizione che siano rispettate specifiche garanzie procedurali.
Per i sistemi di monitoraggio che non rientrano nella categoria degli strumenti di lavoro in senso stretto, la legge richiede un accordo con le rappresentanze sindacali aziendali o, in mancanza, l’autorizzazione dell’Ispettorato Nazionale del Lavoro. I dati raccolti mediante tali strumenti possono essere utilizzati a tutti i fini connessi al rapporto di lavoro, inclusi quelli disciplinari, solo a condizione che il lavoratore sia stato informato delle modalità d’uso degli strumenti e di effettuazione dei controlli, nel rispetto del GDPR.
L’applicazione di questi principi ai sistemi di IA pone questioni interpretative non banali. Un algoritmo che analizza in tempo reale la velocità di digitazione, il numero di click, i tempi di risposta alle email o la postura davanti allo schermo è uno “strumento di lavoro” o uno “strumento di controllo”? La risposta dipende dalla funzione prevalente del sistema nel contesto organizzativo concreto, e la giurisprudenza — pur in una fase ancora evolutiva — tende a qualificare come strumenti di controllo quei sistemi la cui finalità primaria è la raccolta di informazioni sul comportamento del lavoratore, piuttosto che il supporto all’esecuzione della prestazione.
👉 Leggi anche: Algoritmi e selezione del personale: quando il sistema di recruiting automatizzato viola il diritto antidiscriminatorio
Il ruolo dei contratti collettivi e della contrattazione di prossimità
Un terreno di crescente importanza è quello della contrattazione collettiva, che può svolgere una funzione regolatoria complementare rispetto alla legge. Numerosi contratti collettivi nazionali e aziendali hanno iniziato a introdurre clausole specifiche sull’utilizzo dei sistemi algoritmici, prevedendo obblighi di informazione e consultazione sindacale, criteri di trasparenza sulle logiche di funzionamento degli algoritmi e limiti all’utilizzo dei dati raccolti automaticamente a fini disciplinari o valutativi.
Queste clausole — pur nella loro eterogeneità — segnalano una tendenza significativa: le parti sociali riconoscono che la regolazione dell’IA in azienda non può essere lasciata alla sola discrezionalità datoriale, e che la negoziazione collettiva è uno strumento idoneo a definire standard di tutela adeguati al contesto tecnologico. Per il lavoratore, la presenza di clausole contrattuali sulla trasparenza algoritmica può costituire un fondamento autonomo per contestare sistemi di monitoraggio che, pur formalmente conformi alla legge, non rispettino gli standard pattuiti in sede negoziale.
I rimedi del lavoratore di fronte alla sorveglianza illecita
I rimedi individuali: dall’azione giudiziaria al reclamo al Garante
Il lavoratore che ritiene di essere sottoposto a un sistema di monitoraggio algoritmico illecito dispone di un ventaglio articolato di rimedi. Sul piano del diritto del lavoro, può agire in giudizio per ottenere la declaratoria di illiceità del sistema di controllo, la cessazione del trattamento illecito e il risarcimento del danno — patrimoniale e non patrimoniale — subito. Il danno non patrimoniale è particolarmente rilevante in questo contesto, potendo ricomprendere il danno alla dignità personale, l’ansia e lo stress derivanti dalla percezione di sorveglianza pervasiva, e la lesione della riservatezza.
Sul piano della protezione dei dati, il lavoratore può esercitare i diritti previsti dagli articoli 15-22 del GDPR: accesso ai propri dati, rettifica, cancellazione, limitazione del trattamento, opposizione al trattamento automatizzato e portabilità dei dati. In caso di mancata risposta o risposta insoddisfacente del datore, può proporre reclamo al Garante per la protezione dei dati personali, che ha il potere di avviare un’istruttoria, adottare misure correttive e irrogare sanzioni amministrative pecuniarie.
Il ruolo delle rappresentanze sindacali e dell’Ispettorato del Lavoro
Accanto ai rimedi individuali, il sistema di tutele prevede strumenti di carattere collettivo. Le rappresentanze sindacali aziendali hanno il diritto di essere informate e consultate prima dell’introduzione di sistemi di IA con impatto sull’organizzazione del lavoro, e possono negoziare accordi che limitino o condizionino l’utilizzo di tali sistemi. In caso di violazione degli obblighi di informazione e consultazione, il sindacato può agire in giudizio per la repressione della condotta antisindacale, ai sensi dell’articolo 28 dello Statuto dei Lavoratori.
L’Ispettorato Nazionale del Lavoro, dal canto suo, è competente a vigilare sul rispetto della normativa in materia di controllo a distanza e può intervenire sia su segnalazione dei lavoratori o delle organizzazioni sindacali, sia d’ufficio. Per approfondire i profili di conformità, è utile consultare le risorse disponibili sul diritto del lavoro e intelligenza artificiale in chiave di compliance, che offrono un quadro pratico degli adempimenti richiesti alle imprese.
Le responsabilità del datore di lavoro: un quadro d’insieme
Ricapitolando il quadro normativo esaminato, il datore di lavoro che intenda introdurre sistemi di monitoraggio basati sull’intelligenza artificiale deve confrontarsi con almeno quattro livelli di responsabilità potenziale. In primo luogo, la responsabilità contrattuale ex articolo 2087 c.c. per la mancata tutela dell’integrità psicofisica e della personalità morale del lavoratore. In secondo luogo, la responsabilità amministrativa per violazione del GDPR e del Codice della Privacy, con sanzioni che possono raggiungere importi considerevoli in proporzione al fatturato aziendale. In terzo luogo, la responsabilità per violazione dell’AI Act, con obblighi specifici per i sistemi ad alto rischio e sanzioni graduate per gravità. In quarto luogo, la responsabilità per condotta antisindacale, qualora l’introduzione dei sistemi avvenga senza il rispetto delle procedure di informazione e consultazione sindacale previste dalla legge e dalla contrattazione collettiva.
A queste si aggiunge la responsabilità civile per i danni cagionati ai lavoratori da decisioni automatizzate errate o discriminatorie, un profilo di crescente rilevanza pratica man mano che i sistemi di IA vengono utilizzati per decisioni di assunzione, valutazione e gestione del personale con effetti giuridicamente significativi.
Conclusioni: verso un equilibrio sostenibile tra efficienza e dignità
Il tema del monitoraggio intelligenza artificiale lavoro non è destinato a perdere di attualità: al contrario, con l’ulteriore diffusione dei sistemi automatizzati nelle organizzazioni produttive, la pressione normativa e giurisprudenziale è destinata ad intensificarsi. Il quadro regolatorio attuale — costruito sull’interazione tra AI Act, GDPR, Codice della Privacy, Statuto dei Lavoratori e legge n. 132/2025 — offre strumenti di tutela significativi, ma la loro effettività dipende in larga misura dalla capacità dei lavoratori, dei sindacati e dei professionisti del diritto di conoscerli e azionarli. Per il datore di lavoro, la compliance non è più una scelta facoltativa ma una condizione di legittimità dell’attività d’impresa nell’era algoritmica: investire in trasparenza, partecipazione sindacale e valutazione preventiva dei rischi non è solo un obbligo giuridico, ma anche la premessa di un utilizzo dell’intelligenza artificiale che sia realmente sostenibile sul piano delle relazioni di lavoro e della coesione organizzativa.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
